防火墙在解决方案及典型项目中的应用
防火墙作为基础安全防护产品,在各种解决方案、业务场景中配套应用,本节给出各类方案资料链接方便查阅。
防火墙在华为网络解决方案中的应用
解决方案 | 文档 | 主要应用 |
---|---|---|
CloudFabric云数据中心网解决方案 | 资料专区 | 防火墙作为VAS设备,向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。 为了做到不同租户的业务隔离、业务按需提供,控制器将防火墙的虚拟系统(Vsys)生成安全资源池。当租户申请VAS服务时,控制器为租户在安全资源池中分配使用的虚拟系统(逻辑VAS),租户无需感知底层防火墙设备。 同时,当大数据安全分析器检测出网络中的高级或潜在威胁时,防火墙作为执行器接受上级控制器下发的指令,阻断流量。 |
CloudCampus解决方案 | 资料专区 | 防火墙工作在云管理模式,统一注册到云管理平台,由云管理平台进行业务下发和日常运维。 防火墙接入云管理平台后,大部分业务功能都不支持在防火墙上手动配置,只保留必须的一些功能。 |
HiSec解决方案 | 资料专区 | HiSec解决方案是华为提出的软件定义安全解决方案,创新提出分析器、控制器和执行器三层智能安全防御架构。 防火墙在三层架构中作为执行器,接收控制器下发的防御策略,及时阻断威胁流量。 HiSec解决方案可在云数据中心安全、园区安全、视频监控安全等领域应用,请查阅资料专区中对应不同场景的资料。 |
防火墙在典型项目中的应用
以下是基于典型项目整理的综合案例,不同项目使用的防火墙版本、部署方案等不尽相同,但是资料均可作为参考。
典型场景 | 文档 | 主要应用 |
---|---|---|
校园出口 | 防火墙在校园出口安全方案中的应用 | 防火墙部署在校园网出口提供Internet接入和安全防护功能,主要使用入侵防御、基于用户的上网权限控制、ISP智能选路、NAT等功能。 |
广电出口 | 防火墙在广电出口安全方案中的应用 | 防火墙部署在广电网络或二级运营商出口提供Internet接入和安全防护功能,主要使用双机热备、入侵防御、NAT、ISP智能选路等功能。 |
金融数据中心 | 防火墙在金融数据中心安全方案中的应用 | 防火墙可以部署在数据中心区出口、Internet出口、内网接入区。每个部署位置使用的功能不同,具体参见资料。 |
企业园区出口 | 防火墙在企业园区出口安全方案中的应用 | 防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能,主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。 |
云计算 | 防火墙在云计算安全方案中的应用 | 防火墙部署在云计算网络中,将云计算网络对外提供服务的虚拟机和Portal系统发布出去供企业用户访问。 主要使用防火墙的双机热备、虚拟系统和NAT Server功能。其中防火墙划分不同的虚拟系统用于隔离不同企业用户的访问。 |
CLI举例:管理员使用HTTPS方式登录设备(默认证书)
介绍如何通过命令行配置HTTPS方式登录Web界面的管理员。
背景信息
当客户端通过HTTPS登录设备时,设备会发送证书(默认证书/指定证书)给客户端。当设备发送默认证书给客户端时,客户端无法验证其合法性,容易受到攻击。
组网需求
如图1所示,为FW配置一个本地认证管理员webadmin,要求管理可以通过HTTPS登录到Web界面。
数据规划
项目 | 数据 | 说明 |
---|---|---|
用户名 | webadmin | - |
密码 | Myadmin@123 | - |
认证类型 | 本地认证 | - |
角色 | service-admin | service-admin为自定义的角色,对网络、策略和对象拥有读写权限,对其他配置项无权限。 |
管理员信任主机 | 10.3.0.0/24 | 通过IP地址限制管理员所在区域。 |
服务类型 | Web | - |
Web服务超时时间 | 5分钟 | - |
配置思路
-
配置登录接口。
本举例只介绍配置管理员相关的内容。
操作步骤
- 可选:配置登录接口。
如果使用管理口的缺省配置登录设备,无需执行此步骤。
管理口的缺省IP地址为192.168.0.1,接口已经加入Trust区域,并且允许管理员通过HTTPS登录设备。
- 配置接口信息。
[FW] interface GigabitEthernet 1/0/3 [FW-GigabitEthernet1/0/3] ip address 10.3.0.1 255.255.255.0 [FW-GigabitEthernet1/0/3] service-manage enable [FW-GigabitEthernet1/0/3] service-manage https permit [FW-GigabitEthernet1/0/3] quit
- 将接口加入安全区域。
[FW] firewall zone trust [FW-zone-trust] add interface GigabitEthernet1/0/3 [FW-zone-trust] quit
- 配置接口信息。
- 创建管理员。
- 为管理员配置信任主机。
[FW] acl 2001 [FW-acl-basic-2001] rule permit source 10.3.0.0 0.0.0.255 [FW-acl-basic-2001] rule 10 deny [FW-acl-basic-2001] quit
- 可选:创建管理员角色。
如果使用缺省的管理员角色,请忽略此步骤。
[FW] aaa [FW-aaa] role service-admin [FW-aaa-role-service-admin] description policy_object_network_readwrite_and_other_modules_none [FW-aaa-role-service-admin] dashboard none [FW-aaa-role-service-admin] monitor none [FW-aaa-role-service-admin] system none [FW-aaa-role-service-admin] network read-write [FW-aaa-role-service-admin] object read-write [FW-aaa-role-service-admin] policy read-write [FW-aaa-role-service-admin] quit
- 创建管理员,并为管理员绑定角色。
[FW-aaa] manager-user webadmin [FW-aaa-manager-user-webadmin] password Enter Password: Confirm Password: [FW-aaa-manager-user-webadmin] service-type web [FW-aaa-manager-user-webadmin] access-limit 10 [FW-aaa-manager-user-webadmin] acl-number 2001 [FW-aaa-manager-user-webadmin] quit [FW-aaa] bind manager-user webadmin role service-admin [FW-aaa] quit
- 为管理员配置信任主机。
- 验证管理员登录Web界面。
- 配置管理员PC的IP地址为10.3.0.10/24。
- PC中打开网络浏览器,访问需要登录设备的IP地址“https://10.3.0.1:8443”。
输入IP地址登录后,浏览器会给出证书不安全的提示,此时可以选择继续浏览。
- 在登录界面中输入管理员的用户名“webadmin”和密码“Myadmin@123”,单击“登录”,进入Web界面,管理员配置成功。
配置脚本
#
interface GigabitEthernet1/0/3
ip address 10.3.0.1 255.255.255.0
service-manage https permit
#
firewall zone trust
set priority 85
add interface GigabitEthernet1/0/3
#
acl number 2001
rule 5 permit source 10.3.0.0 0.0.0.255
rule 10 deny
#
web-manager security enable
web-manager timeout 5
#
aaa
authentication-scheme default
#
manager-user webadmin
password cipher %@%@*y:3*ZN}.%%qcL1cC|@XBVMDyDwlB.Wq'6JF(iOz2D8>A\SN%@%@
service-type web
level 15
acl-number 2001
#
bind manager-user webadmin role service-admin
role service-admin
description policy_object_network_readwrite_and_other_modules_none
dashboard none
monitor none
system none
network read-write
object read-write
policy read-write
#
return